社会ニュース｜不正アクセス
ショップサーブの情報漏洩で何が漏れた？2336万人とカード番号の一部
ネットショップ構築サービス「ショップサーブ」を運営するEストアー（BASEの子会社）は2026年10月16日、不正アクセスによる個人情報漏えいの最終報を公表しました。漏えいの対象は約2,336万人、そのうち約210万人はクレジットカード番号の一部（先頭6桁と下4桁）と有効期限も含みます。ショップサーブで作られた7,858店の客が対象で、どの店で買ったかによって自分も対象になり得ます。何が漏れて何が漏れていないのか、今やることを公式発表で整理し、2026年のほかの大規模漏えいや個人情報保護委員会の統計と規模を比べます。
この記事の結論
- 漏れたのは、購入者の氏名・住所・電話番号・メールアドレス・勤務先など、会員の会員IDと暗号化されたパスワード、一部の人のカード名義・カード番号の一部・有効期限、店舗の管理画面のログイン情報などです。
- 完全なカード番号とセキュリティコードは漏れていません。Eストアーは「今回漏えいした情報のみでは、クレジットカード決済を行うことはできません」としています。
- 攻撃は5月21日から8月1日まで72日間続いていました。アプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外へ送っていたことが、外部の専門機関の調査で確定しました。
- 件数は第1報の「延べ885万件」から、最終報では重複を除いた約2,336万人（約2.6倍）に増えました。2026年に公表された国内の漏えいで、公式発表で件数を確認できたものの中では件数で2番目の規模です。
- 対象者への個別連絡は完了済みです。Eストアーや店を名乗る「カード情報の再入力」「再決済」の連絡は詐欺と考えてください。
ショップサーブの情報漏洩で何が漏れた？最終報の一覧
Eストアーの10月16日の最終報によると、漏えいの対象になった情報は次のとおりです。購入者（お客様）に関するものと、ショップサーブを使う店舗・アフィリエイターに関するものに分かれています。
| 区分 | 情報 | 結果 |
|---|---|---|
| 購入者情報（配送先を含む） | 氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、その他お客様が任意に入力した情報 | 漏えい |
| 会員情報（メルマガ会員を含む） | 会員ID、暗号化されたパスワード | 漏えい |
| クレジットカード情報の一部 | カード名義、カード番号の一部（先頭6桁と下4桁）、有効期限（約210万人） | 漏えい |
| 完全なカード番号・セキュリティコード | Eストアーはもともと保持していない | 漏えいなし |
| 店舗：ショップサーブ管理画面 | ログインID・パスワード | 漏えい |
| 店舗：コンビニ払込票に載る店舗情報 | 販売責任者の氏名、店舗名、郵便番号、住所、電話番号、FAX番号 | 漏えい |
| アフィリエイトプログラム登録者 | メールアドレス、パスワード | 漏えい |
| 店舗メール・FTPのID・パスワード、店舗への振込先口座 | 第2報では対象としていたが、調査の結果、対象外と確認 | 対象から除外 |
Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日）より当サイト作成。
カード番号は「先頭6桁と下4桁」まで
漏えいしたカード情報は、名義・番号の一部・有効期限です。完全なカード番号とセキュリティコード（CVV/CVC）はEストアーが保持しておらず、漏えいの対象ではありません。Eストアーは、この情報だけではカード決済はできないとしています。
ただし、名前・住所・電話番号と、カード番号の下4桁や有効期限がそろうと、「本物の会社からの連絡」に見せかけやすくなるおそれがあります。「ご利用のカード（下4桁○○○○）の決済が確認できませんでした。再決済をお願いします」といった文面で偽サイトに誘導し、残りの番号やセキュリティコードを入力させる手口には注意が必要です。
パスワードは暗号化されていた
会員のパスワードは暗号化された状態で管理されており、Eストアーは「パスワードが特定される可能性は低い」と判断しています。漏えいした情報にはどの店のログインなのかを結びつける情報も含まれていないため、会員マイページへの不正アクセスの可能性も低いとしています。
二次被害とダークウェブへの流出は「確認されていない」
最終報の公表時点で、本件が原因の具体的な二次被害の報告はなく、外部の専門機関の調査でもダークウェブ上への流出は確認されていないとしています。とはいえ、漏れた情報がこの先どう使われるかは分からないため、しばらく警戒は必要です。
いつ・なぜ漏れた？発覚から最終報までの経緯
- 5月21日攻撃が始まるこの日から、外部の第三者がサーバー上のアプリケーションの脆弱性を悪用し、データベースの情報を外へ送り始めていました（最終報で確定）。
- 8月1日発覚・遮断と第1報Eストアーが不正アクセスを認知し、攻撃元からの通信を遮断。BASEの第1報では「9:09〜11:06頃」に購入者情報が送信されたとし、対象は「最大で延べ8,853,839件」でした。
- 8月2日第2報発生日が5月21日までさかのぼると判明。会員ID・パスワード、カード情報の一部、店舗の管理画面・メール・FTPのログイン情報、振込先口座も対象として公表しました。
- 9月30日委員会への確報の期限（筆者計算）不正アクセスのように不正な目的のおそれがある漏えいは、発覚から60日以内に個人情報保護委員会へ確報を出す決まりです。発覚日の8月1日から数えると9月30日です。
- 10月16日最終報調査が完了し、対象は約2,336万人・7,858店に確定。店舗メール・FTP・振込先口座は対象外と訂正しました。発覚から76日後の公表です。
原因はアプリケーションの脆弱性
最終報によると、攻撃者はEストアーのサーバー上で動いていたアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部に送っていました。どのソフトウェアのどの脆弱性だったかは公表されていません。
外部の専門機関によるフォレンジック調査（コンピューターに残った記録を調べる調査）では、この経路以外の侵入や、バックドア（あとで再び入り込むための裏口）などの不正なプログラムの設置は見つからなかったとしています。8月1日の遮断後は、攻撃は成立していないことも確認したとしています。
実施した再発防止策
- 悪用された脆弱性の修正と攻撃経路の遮断
- 残っている脅威の調査
- アプリケーションとサーバーの脆弱性診断と、見つかった問題の是正
- 管理画面などの認証の強化（二要素認証・二段階認証を含む）
個人情報保護委員会と関東総合通信局に報告書を出し、警察署にも相談しているとしています。
なぜ885万件から2,336万人に増えた？数え方と範囲の違い
第1報（8月1日）の「最大で延べ8,853,839件」と、最終報（10月16日）の「約23,356,000人」を比べると、数字は約2.6倍になっています。公表資料を読み比べると、増えた理由は主に次の2つです。
1. 対象の範囲が広がった
第1報で漏えいしたとされたのは購入者情報だけで、時間も8月1日の約2時間とされていました。第2報で攻撃が5月21日から続いていたことが分かり、会員情報やカード情報の一部、店舗の情報も対象に加わりました。最終報の人数は、お客様・店舗運営者・アフィリエイターをすべて合わせた数です。
2. 「延べ件数」から「人数」に数え方が変わった
第1報は「同一のお客様に関する複数の登録データを含む可能性がある」延べ件数でした。最終報は、複数の項目が一致するデータを同じ人として名寄せし、できるだけ重複を除いた人数です。ただし一致の基準に届かない重複は除ききれないため「概数」としています。重複を除いてもなお増えたことから、範囲の広がりがそれだけ大きかったことが分かります。
「件」と「人」は比べるときに注意
漏えいの規模は、会社によって「件（データの数）」「人（名寄せ後の人数）」「アカウント数」と数え方が違います。同じ人が複数の店で買い物をしていれば、延べ件数は人数より多くなります。次の表で他社と比べるときも、この違いを頭に入れておいてください。
2,336万人は2026年の漏えいで何番目？他社と規模を比べる
2026年に公表された国内の情報漏えいのうち、各社の公式発表で件数を確認できたものを件数の多い順に並べました（「可能性」を含む件数もあります）。
| 順位 | 会社（サービス） | 件数 | 数え方 |
|---|---|---|---|
| 1 | Helpfeel（画像共有「Gyazo」） | 約2,362万件 | ユーザーデータの件数。約76％の約1,801万件はメール未登録の匿名ユーザー |
| 2 | Eストアー（ショップサーブ） | 約2,336万人 | 名寄せして重複を除いた人数（概数）。購入者・会員・店舗・アフィリエイター |
| 3 | アドベンチャー（skyticket） | 約1,464万件 | 登録・入力された客の件数 |
| 4 | KDDI（ISP向けメールシステム） | 12,231,954名 | 漏えいが確認された人数 |
| 5 | 物語コーポレーション（焼肉きんぐアプリ） | 10,788,963件 | アプリ登録の件数 |
| 6 | 第一興商（ビッグエコーなど・委託先） | 約872万4,000件 | 重複約51.5万件を除いた件数（客と従業員） |
| 7 | ムラウチドットコム | 7,716,811件 | 漏えいした対象者の件数 |
| 8 | パーク24（タイムズカー） | 約660万件 | アカウント数 |
| 9 | ブックオフグループ | 最大約643万件 | 会員番号の件数 |
各社の公式発表・適時開示（最新の報）より当サイト集計。2026年10月17日時点で当サイトが確認できた事案に限ります。会社名のリンク先が出典です。
ショップサーブは件数で2番目です。1位のGyazoは約2,362万件ですが、その約76％にあたる約1,801万件はメールアドレスを登録していない匿名ユーザーのデータで、メールアドレスの登録があるのは約562万件です。ショップサーブは名寄せ後の「人数」で、しかも住所・電話番号などを含む購入者情報が中心という点で、件数の大きさに加えて漏れた情報の中身も重い事案です。
上場企業グループの不正アクセスでは過去最多を上回る
東京商工リサーチは2012年から、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を集計しています。2025年版の調査によると、原因が「ウイルス感染・不正アクセス」の事故でこれまで最も多かったのは、2013年のヤフー（現LINEヤフー）の最大2,200万件でした。Eストアーは東証グロース上場のBASEの子会社で、約2,336万人はこれを上回ります（2026年分は同社の集計がまだ出ていないため、筆者の比較です）。
原因を問わなければ、2014年のベネッセの事件（委託先の元社員による持ち出し）が約3,504万件で、ベネッセは実際の件数を約2,895万件と推計しています。ベネッセは内部の人による持ち出しで、ショップサーブの件は、外部からの攻撃による漏えいとしては国内最大級の一つといえます。
店で買っただけで対象に？ネットショップの「裏側」から漏れる仕組み
今回の漏えいで多くの人が戸惑っているのは、Eストアーと直接契約していないのに対象になった点です。ショップサーブは、事業者が自分のネットショップを開くためのサービスで、買い物客から見えるのは各店の名前とサイトだけです。注文データや会員情報は、店の裏側にあるショップサーブのサーバーに保存されています。
対象の7,858店には、いま利用中の店だけでなく過去にショップサーブを使っていた店も含まれます。約2,336万人を7,858店で割ると、単純平均で1店あたり約2,970人です（店舗運営者・アフィリエイターも含む概算）。1社のシステムが破られると、それを使う何千もの店の客がまとめて被害を受けるのが、こうした「プラットフォーム型」の漏えいの特徴です。
2026年はこの形の事案が目立ちます。KDDIの件はプロバイダー各社に提供するメールシステム、第一興商の件は委託先の従業員の端末のマルウェア感染が入り口でした。9〜10月には、宿泊予約管理システムやメール配信サービス、FAQシステムを経由して、そのシステムを使う会社の客の情報が漏れた事案も続いています（詳しくは最近の不正アクセスまとめ2026）。
どの店で買ったかは窓口で確認できる
Eストアーは、自分が使った店の名前を確認したい人も、下記の問い合わせ窓口に連絡するよう案内しています。本件の調査結果や漏えいの対象になった情報についての問い合わせも、Eストアーが確認・対応するとしています。
5万人を超える漏えいは年に100件超、個人情報保護委員会の統計
個人情報保護法では、不正アクセスのように不正な目的で行われたおそれがある漏えいや、1,000人を超える漏えいなどが起きた場合、会社は個人情報保護委員会に報告し、本人に知らせる義務があります。委員会の年次報告から、民間事業者からの報告の件数と、そのうち漏えい等した人数が5万1人以上の事案を集計しました。
| 年度 | 漏えい等の報告 | 5万1人以上 | 割合 |
|---|---|---|---|
| 2022年度 | 7,685件 | 42件 | 0.5％ |
| 2023年度 | 12,120件 | 61件 | 0.5％ |
| 2024年度 | 19,056件 | 144件 | 0.8％ |
| 2025年度 | 17,139件 | 121件 | 0.7％ |
個人情報保護委員会「年次報告」令和4〜7年度の付表「漏えい等した人数」（個人情報取扱事業者等）より当サイト集計。年度は4月〜翌年3月。人数が確定しない場合は最大人数で報告されています。
報告の9割以上は1,000人以下の小さな事案ですが、5万人を超える事案は2022年度の42件から2025年度は121件と約2.9倍に増え、4年間で368件ありました。ショップサーブの約2,336万人は、その「5万人超」の基準の約470倍にあたります。発覚が2026年8月なので、委員会の統計に入るのは2026年度分（2027年夏ごろの年次報告）になる見込みです。
ショップサーブの店で買い物をした人が今やること
- 1. 「再決済」「カード情報の再入力」の連絡には応じない
Eストアーは、本件に関してカード情報の再入力や再決済をお願いすることはなく、メールやSMSでパスワードを尋ねることもないとしています。店名やカード会社を名乗っていても、リンクは開かず公式サイトで確かめます。 - 2. カードの利用明細を確認する
身に覚えのない請求があったり、不審なサイトにカード情報を入力してしまったりした場合は、すぐにカード裏面の番号からカード会社に連絡します。 - 3. 使い回しのパスワードを変える
会員パスワードは暗号化されていましたが、第2報では会員にパスワードの変更を求めていました。同じパスワードをほかのサービスでも使っている場合は、そちらも変えておくと安心です。多要素認証が使えるサービスでは設定しておきます。 - 4. 名前入りの郵便物・電話・SMSを疑う
住所・電話番号・勤務先まで漏れているため、宛名が正しくても本物とは限りません。お金や個人情報を求められたら、いったん切って公式の連絡先に確認します。 - 5. 不安なら問い合わせ窓口へ
購入者・会員・アフィリエイター：Eストアー「個人情報に関するお客様ご相談窓口」（問い合わせフォーム、メール support@estore.co.jp）。店舗：Eストアーデスク（03-6434-0946、平日10時〜18時）。
ショップサーブの店を運営している人へ
管理画面のログインID・パスワードが漏えいの対象です。Eストアーは認証情報のリセットなどを実施済みとしていますが、同じパスワードを他のサービスで使っていた場合は変更し、管理画面の二段階認証を設定しておくのが安全です。
ショップサーブの情報漏洩の報道（X）
朝日新聞とライブドアニュースは10月16日、Eストアーの最終報を伝えました。報道の「2335万人」は、最終報の約23,356,000人を万未満で切り捨てた表記です（本記事では四捨五入して約2,336万人としています）。
通販サイト利用客など2335万人分が漏洩 運営支援ショップサーブ https://t.co/CN6YOuUfYa
通販サイトの運営支援サービス「ショップサーブ」を運営するEストアーは16日、通販サイトの利用客など約2335万人分の個人情報が流出したと発表した。
— 朝日新聞(asahi shimbun） (@asahi) October 16, 2026
【報告】通販サイト利用客など約2335万件漏洩 「ショップサーブ」運営会社が発表https://t.co/c2andhhz97
ネット通販サイトの運営を支援するサービス「ショップサーブ」の運営会社が発表。氏名や住所のほか、クレジットカードの名義情報やカード番号の一部などが含まれている。 pic.twitter.com/YVPWgav4jm
— ライブドアニュース (@livedoornews) October 16, 2026
ショップサーブの情報漏洩についてよくある質問
Q. ショップサーブの情報漏洩で何が漏れましたか？
A. 購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先など、会員の会員IDと暗号化されたパスワード、約210万人分のカード名義・カード番号の一部（先頭6桁と下4桁）・有効期限、店舗の管理画面のログイン情報などです。完全なカード番号とセキュリティコードは漏れていません。
Q. 自分が対象かどうかはどうすれば分かりますか？
A. Eストアーは対象者への個別連絡を完了したとしています。連絡先が確認できなかった人には、公表と問い合わせ窓口の設置で代えるとしています。どの店で買い物をしたかの確認も含め、Eストアーの「個人情報に関するお客様ご相談窓口」（フォームまたは support@estore.co.jp）に問い合わせできます。
Q. クレジットカードは止めたほうがいいですか？
A. Eストアーは、漏えいした情報だけではカード決済はできないとしています。止めるかどうかは利用明細に不審な請求があるかで判断し、不審な請求や偽サイトへの入力があればすぐにカード会社に連絡してください。
Q. 漏えいはいつからいつまで続いていましたか？
A. 2026年5月21日から8月1日までです。8月1日にEストアーが不正アクセスを認知して攻撃元からの通信を遮断し、それ以降は攻撃が成立していないことを確認したとしています。
Q. BASEで作ったネットショップも影響を受けましたか？
A. BASEは、BASEとグループ会社のサービスは本件の対象とは別のサーバー・システムで運用されており、攻撃対象に含まれず、情報漏えいは起きていないと発表しています。対象はEストアーが運営するショップサーブです。
Q. 2,336万人は過去の情報漏洩と比べてどのくらいですか？
A. 2026年に公表された国内の漏えいのうち公式発表で件数を確認できたものでは、Gyazo（約2,362万件）に次ぐ2番目です。東京商工リサーチの集計で上場企業グループの不正アクセスによる漏えいの最多だった2013年のヤフー（最大2,200万件）も上回ります。
あわせて読みたい
出典・参考資料
- Eストアー：不正アクセスによる個人情報漏えいに関するお知らせ（最終報）（2026年10月16日）／同（第2報）（2026年8月2日）
- BASE：当社子会社のEストアーにおける不正アクセスによる個人情報漏えいに関するお知らせ（最終報）（2026年10月16日）／同 お詫びとお知らせ（第1報）（2026年8月1日）
- 東京商工リサーチ：2025年 上場企業の個人情報漏えい・紛失事故（2026年1月30日）
- 個人情報保護委員会：年次報告（令和4〜7年度）
- ベネッセ：個人情報漏えい事故の概要
- 比較表の各社：表の会社名のリンク先（Helpfeel、アドベンチャー、KDDI、物語コーポレーション、第一興商、ムラウチドットコム、パーク24、ブックオフグループホールディングスの公式発表）
内容は2026年10月17日時点の公表資料にもとづきます。比較表・倍率・1店あたりの人数・確報期限の日付・年次報告の集計は筆者の計算です。2026年の比較は当サイトが公式発表を確認できた事案に限ります。アイキャッチ背景：Shixart1985「Business professional engages in online shopping from home workspace while using credit card.jpg」（Wikimedia Commons、CC BY 2.0）をトリミング・明るさ調整・文字入れ。
コメント